Hola a tod@s.
Después de unas buenas y merecidas vacaciones con la familia y amigos, dónde hemos podido recargar baterías y coger fuerzas para esta segunda parte del año volvemos con un nuevo post sobre los certificados en MS Exchange 2013.
En este post vamos a ver los certificados en MS Exchange 2013 para asegurar el acceso a los servicios del servidor de correos, podemos utilizar tres tipos de certificados:
- Certificado autofirmado, al instalar Exchange 2013 se genera automáticamente un certificado autofirmado (self signed) habilitado para IIS, POP, IMAP y SMTP, este certificado incluye los nombres de host y FQDN del servidor, por ejemplo, mail01, mail01.ragasys.net. El certificado autofirmado habilita de forma predeterminada a que los servicios de Exchange sean accedidos de forma segura, cumpliendo así la función básica, pero presenta el inconveniente de que los clientes no confían en el certificado, llegando incluso a no poder conectar.
- Certificado interno, este certificado es emitido por una entidad certificadora (CA) interna. Esta CA podría estar integrada con Active Directory o no y funcionar del modo “stand alone”. Para usar este tipo de certificado es necesario contar con una CA interna instalada para este propósito.
- Certificado público o externo, este tipo de certificado es el que en general se recomienda para cualquier servicio expuesto en Internet, para obtenerlo es necesario una entidad certificadora externa como Digicert, Godaddy, entre otras. Este certificado a diferencia del autofirmado y del interno tiene un costo directo al momento de la compra y en función al tipo, cantidad de nombres y tiempo de validez tendrá un precio u otro. El certificado público es ideal ya que puede ser utilizado interna como externamente, y sería confiable en clientes internos, externos, dispositivos móviles, etc… de forma predeterminada.
- Una vez realizada esta introducción, vamos a acceder a nuestro Exchange 2013 y veremos que los certificados que tenemos operativos son los certificados autofirmados que nos genera automáticamente la instalación de Exchange:
- En nuestro caso, ya que tenemos instalada y configurada una entidad certificadora interna, vamos a usar un certificado interno para asegurar el acceso a los servicios de Exchange 2013, para solicitar un nuevo certificado, independientemente del tipo de certificado a utilizar, ya sea interno o público, el procedimiento a seguir sería:
- 1. Generar la solicitud de certificado (CSR) en Exchange.
- 2. Procesar la solicitud con una entidad certificadora interna o externa.
- 3. Completar la solicitud pendiente en Exchange con el archivo devuelto por la CA.
- 4. Habilitar el certificado para que los servicios de Exchange puedan utilizarlo.
- Vamos con el primer paso, que sería Generar la solicitud de certificado (CSR) en Exchange, para ello nos vamos a Servidores > Certificados > +, el certificado autofirmado con el que interactúan los clientes es el que se llama Microsoft Exchange, los otros dos se recomienda no modificarlos:
- Se nos abre este asistente, donde vamos configurando lo siguiente, primero elegimos “Crear una solicitud para un certificado desde una entidad de certificación”:
- Le asignamos un nombre descriptivo:
- Clic en “siguiente”:
- Hacemos clic en Examinar y seleccionamos el servidor donde realizar la solicitud:
- Aquí nos aparecen los dominios que tenemos definidos para cada servicio, clic en siguiente:
- Dejamos los dominios que nos interesan, clic en “siguiente”:
- Completamos la información de la organización y hacemos clic en siguiente:
- Especificamos una ruta UNC válida para guardar la solicitud, clic en “Finalizar”:
- La carpeta share en el servidor mail01 la hemos compartido y le hemos asignado los permisos necesarios:
- Verificamos que el archivo se ha creado correctamente y que la solicitud se encuentra como “Pedido pendiente”:
- Vamos con el segundo paso, que sería Procesar la solicitud con una entidad certificadora interna, entidad que ya configuramos en un post anterior, para ello accedemos a nuestra CA interna a través de la URL https://adcs/certsrv y damos clic a “Solicitar un certificado”:
- Clic en solicitud avanzada de certificado:
- Clic en la segunda opción:
- Abrimos con el bloc de notas el archivo con extensión REQ que creamos anteriormente y copiamos todo el texto:
- En la ventana “Enviar una solicitud de certificado o una solicitud de renovación, pegamos el texto del archivo REQ en “Guardar solicitud” y seleccionamos Servidor web en “Plantilla de certificado”, clic a “Enviar”:
- Seleccionamos la opción “Codificado en Base64” y clic en Descargar certificado:
- Guardamos el certificado en la carpeta share que hemos compartido anteriormente:
- Vamos con el tercer paso, que sería Completar la solicitud pendiente en Exchange con el archivo devuelto por la CA, para ello nos vamos a la consola de Exchange y sobre Servidores > Certificados seleccionamos el Pedido pendiente y damos clic a “Completo” para completar la solicitud:
- Ingresamos la ruta UNC donde se encuentra el certificado que descargamos anteriormente de nuestra CA interna, aceptamos para finalizar:
- Como podemos ver ya tenemos el certificado operativo, tarda un poco en pasar de No válido a Válido:
- Vamos con el cuarto y último paso, que sería, Habilitar el certificado para que los servicios de Exchange puedan utilizarlo, para ello nos vamos a la consola de Exchange y sobre Servidores > Certificados seleccionamos el certificado que acabamos de añadir y lo editamos:
- Seleccionamos los servicios que queremos utilizar y guardamos los cambios:
- Nos muestra el siguiente mensaje de advertencia, dónde le indicamos que sobrescriba:
- Como podemos ver, ya tenemos el certificado completamente válido y con sus servicios asociados:
- Como hemos eliminado el certificado autofirmado (selg signed) que Exchange instala por defecto, llamado Microsoft Exchange, al acceder a la consola de configuración ecp o al acceder al OWA nos va a mostrar la página en blanco, ya que en el Administrador de IIS en Sitios > Exchange Back End >Modificar sitio > Enlaces la conexión por https al puerto 444 no va a tener asignada ningún certificado, para añadir el nuevo certificado creado a esta conexión y poder acceder a la consola ecp, OWA y que los clientes Outlook puedan conectar hacemos lo siguiente:
- Tras realizar estas configuraciones, ya tenemos acceso a la consola ecp, OWA, etc…
- Como podemos ver, el acceso a través del OWA con la URL https://webmail.ragasys.net (accesos externos) nos indica que tenemos un certificado de confianza y que la conexión al servidor está cifrada:
- Como podemos ver, el acceso a través del OWA con la URL https://mail01.ragasys.net (accesos internos) nos indica que tenemos un certificado de confianza y que la conexión al servidor está cifrada:
- La Fuente para realizar este post ha sido Aprendiendo Exchange.com – Daniel Nuñez Banega, darle las gracias por su magnífico trabajo con servidores Microsoft Exchange.
Saludos y espero que os resulte de ayuda 😉